CVE-2024-39329

Versões do Django 4.2 a 4.2.13

Versões do Django 5.0 a 5.0.6

A vulnerabilidade permite que invasores remotos enumerem usuários por meio de um ataque de temporização envolvendo solicitações de login para usuários com uma senha inválida. Isso se deve ao método django.contrib.auth.backends.ModelBackend.authenticate(). A vulnerabilidade pode ser explorada para obter acesso não autorizado a informações protegidas.

Para as versões do Django 4.2 a 4.2.13, atualize para a versão 4.2.14 ou posterior.

Para as versões do Django 5.0 a 5.0.6, atualize para a versão 5.0.7 ou posterior.

Como solução temporária, considere restringir o acesso ao método django.contrib.auth.backends.ModelBackend.authenticate() até que um patch esteja disponível.